Controllare i servizi systemd e scrivere file unit

systemd è il sistema init e il gestore dei servizi utilizzato dalla maggior parte delle moderne distribuzioni Linux. È responsabile dell'avvio, dell'arresto e della gestione dei servizi di sistema, oltre che della sequenza di boot e dello stato del sistema.

Lo strumento principale per interagire con systemd è systemctl. Con questo strumento può:

• Avviare e arrestare i servizi
• Abilitare o disabilitare i servizi all'avvio
• Esaminare lo stato e i log dei servizi
• Ricaricare la configurazione senza riavviare

Tutti i servizi gestiti da systemd sono definiti da file unit, ovvero file di configurazione dichiarativi memorizzati in /etc/systemd/system/ (a livello di sistema) o ~/.config/systemd/user/ (per singolo utente).

Questi sono i comandi systemctl più utilizzati per la gestione quotidiana dei servizi. Ogni comando opera su un nome di unità, come nginx.service o semplicemente nginx.

• systemctl start <unit> — avvia immediatamente un servizio
• systemctl stop <unit> — arresta un servizio in esecuzione
• systemctl restart <unit> — arresta e riavvia il servizio (riavvio completo)
• systemctl reload <unit> — invia SIGHUP per ricaricare la configurazione senza arrestare il servizio
• systemctl enable <unit> — crea collegamenti simbolici affinché l'unità venga avviata all'avvio del sistema
• systemctl disable <unit> — rimuove tali collegamenti simbolici
• systemctl status <unit> — mostra lo stato, il PID e le righe di log recenti

systemctl status fornisce un riepilogo dettagliato di un'unità. Comprenderne l'output è essenziale per diagnosticare rapidamente i problemi.

• Loaded: percorso del file dell'unità e indicazione dell'eventuale abilitazione all'avvio
• Active: stato corrente — active (running), inactive (dead), failed
• Main PID: identificatore del processo principale del servizio
• CGroup: tutti i processi figlio appartenenti al servizio
• Log lines: le voci più recenti del journal relative a questa unità

È inoltre possibile interrogare solo lo stato di attivazione con systemctl is-active e lo stato di abilitazione con systemctl is-enabled; questi comandi sono ideali per l'uso negli script.

Quando si gestiscono molti servizi, sono necessari metodi efficienti per elencare e filtrare le unità. systemctl list-units mostra tutte le unità attualmente caricate, mentre list-unit-files mostra tutti i file delle unità installati e il relativo stato di abilitazione.

Opzioni di filtraggio utili:

• --type=service — mostra solo le unità di servizio
• --state=failed — mostra solo le unità in errore
• --state=active — mostra solo le unità attive
• --all — include nell'elenco anche le unità inattive

Combinando questi filtri con grep è possibile creare pipeline di ispezione potenti negli script di manutenzione.

Un file di unità di servizio è un file di testo semplice in stile INI, composto da sezioni. Ogni sezione controlla un aspetto diverso del ciclo di vita dell'unità.

• [Unit] — metadati: descrizione e dipendenze per l'ordinamento (After=, Requires=, Wants=)
• [Service] — modalità di avvio e arresto del processo: ExecStart, ExecStop, Restart, User, WorkingDirectory
• [Install] — quando l'unità deve essere abilitata: WantedBy=multi-user.target indica che viene attivata durante il normale avvio multiutente

Dopo aver inserito o modificato un file di unità in /etc/systemd/system/, è necessario eseguire systemctl daemon-reload affinché systemd acquisisca le modifiche.

Creiamo un semplice file di unità di servizio per uno script personalizzato di un server HTTP Python. Il file di unità indica a systemd esattamente come gestire questo processo, come se fosse un qualsiasi altro servizio di sistema.

Direttive [Service] principali utilizzate in questo esempio:

• Type=simple — systemd considera il processo ExecStart come processo principale
• User=www-data — esegue il processo con un account non root per motivi di sicurezza
• WorkingDirectory — imposta la directory di lavoro del processo
• Restart=on-failure — riavvia automaticamente il processo se termina con un codice diverso da zero
• RestartSec=5 — attende 5 secondi tra un tentativo di riavvio e l'altro

La direttiva Type= nella sezione [Service] indica a systemd come determinare quando un servizio ha completato l'avvio. La scelta del tipo errato è una causa comune di problemi nell'ordinamento.

• Type=simple — predefinito; systemd considera avviato il servizio non appena viene lanciato ExecStart. Non è necessario alcun segnale di disponibilità.
• Type=forking — il processo ExecStart crea un fork e termina; il demone reale viene eseguito come processo figlio. Utilizzare PIDFile= affinché systemd possa monitorarlo.
• Type=notify — il processo invia sd_notify(READY=1) quando è effettivamente pronto. È il tipo più affidabile per i demoni complessi.
• Type=oneshot — viene eseguito una volta e termina; le unità successive attendono il completamento. È ideale per gli script di configurazione.
• Type=idle — simile a simple, ma l'esecuzione viene ritardata finché non terminano tutti i job attivi.

I file delle unità di servizio supportano diverse direttive per passare variabili d'ambiente e applicare restrizioni di sicurezza: entrambi gli aspetti sono importanti nei sistemi di produzione.

Direttive per l'ambiente:

• Environment="KEY=value" — imposta una singola variabile direttamente nella configurazione
• EnvironmentFile=/etc/myapp/env — carica le variabili da un file (una KEY=value per riga)

Direttive comuni per il rafforzamento della sicurezza:

• NoNewPrivileges=true — impedisce al processo di acquisire privilegi aggiuntivi tramite setuid
• ProtectSystem=strict — monta /usr, /boot e /etc in sola lettura
• PrivateTmp=true — assegna al servizio una directory /tmp isolata e privata
• CapabilityBoundingSet= — elimina tutte le capability Linux

Un timer systemd è un'unità che attiva un'altra unità (solitamente un .service) secondo una pianificazione. Sostituisce i tradizionali job cron con un meccanismo più integrato, dotato di log e controllabile.

Ogni unità timer (foo.timer) è associata a un'unità di servizio con lo stesso nome di base (foo.service), che esegue effettivamente il lavoro. È necessario abilitare e avviare il timer, non il servizio direttamente.

Tipi di timer:

• Timer in tempo reale (da calendario) — si attivano a orari prestabiliti utilizzando espressioni OnCalendar= come daily, weekly o Mon *-*-* 02:00:00
• Timer monotoni — si attivano in relazione a un evento di sistema utilizzando OnBootSec=, OnActiveSec= o OnUnitActiveSec=

Creiamo una coppia completa timer + servizio che esegua ogni giorno alle 02:00 uno script di backup. Si noti che la sezione [Timer] si trova in un file .timer separato, mentre il lavoro viene eseguito nel file .service associato.

Direttive [Timer] principali:

• OnCalendar= — espressione di calendario che definisce la pianificazione
• Persistent=true — se il sistema era spento all'ora prevista, esegue il timer immediatamente al successivo avvio
• RandomizedDelaySec= — aggiunge un ritardo casuale fino a N secondi per evitare l'effetto valanga quando molti host condividono la stessa pianificazione
• Unit= — unità di destinazione esplicita (facoltativa se i nomi corrispondono)

systemd indirizza tutto l'output dei servizi al journal, che si interroga con journalctl. In questo modo i log di tutte le unità vengono centralizzati in un unico archivio consultabile.

Opzioni essenziali di journalctl per la risoluzione dei problemi dei servizi:

• -u <unit> — filtra per nome dell'unità
• -f — segue il log in tempo reale (come tail -f)
• -n 50 — mostra solo le ultime 50 righe
• --since "1 hour ago" — limita i risultati in base all'orario
• -p err — mostra solo gli errori e le priorità superiori
• -b — mostra solo i log dell'avvio corrente

Quando un'unità non riesce ad avviarsi, il primo comando da eseguire è journalctl -u <unit> -n 30 --no-pager, seguito da systemctl status <unit> per acquisire il contesto dell'errore recente.

Verifichi la Sua comprensione della configurazione delle unità di servizio e timer di systemd.

In questa lezione ha esplorato i concetti fondamentali della gestione dei servizi systemd e della creazione di file delle unità a livello professionale. Ecco un riepilogo degli argomenti trattati:

• Fondamenti di systemctl — start, stop, restart, reload, enable, disable, status, is-active e is-enabled per controlli adatti agli script
• Elenco e filtraggio — list-units e list-unit-files con le opzioni --type e --state per isolare i servizi in errore o abilitati
• Struttura dei file delle unità — le tre sezioni [Unit], [Service] e [Install] e le relative direttive principali
• Tipi di servizio — simple, forking, notify, oneshot e quando utilizzare ciascuno di essi
• Ambiente e sicurezza — EnvironmentFile, NoNewPrivileges, ProtectSystem e PrivateTmp per demoni rafforzati
• Unità timer — associazione di file .timer e .service, espressioni OnCalendar e comportamento di recupero di Persistent
• Journalctl — filtraggio per unità, orario, avvio e priorità per diagnosticare efficacemente i guasti

Con queste competenze può gestire qualsiasi servizio di sistema, pianificare in modo affidabile le attività ricorrenti e creare file delle unità pronti per la produzione per i Suoi demoni.